JP2003288009A

JP2003288009A - 暗号装置及びデータ転送制御装置

Info

Publication number: JP2003288009A
Application number: JP2002092088A
Authority: JP
Inventors: Tomonori Kumagai; 友則熊谷; Taro Tanaka; 太郎田中
Original assignee: Seiko Epson Corp
Current assignee: Seiko Epson Corp
Priority date: 2002-03-28
Filing date: 2002-03-28
Publication date: 2003-10-10

Abstract

(57)【要約】【課題】共通鍵暗号化方式の暗号強度の低下、回路規
模の増大及び処理速度の低下を抑えることができる暗号
装置及びデータ転送制御装置を提供する。【解決手段】暗号装置１００は、暗号処理回路１１
０、鍵記憶回路１２０、鍵選択回路１３０を含む。暗号
処理回路１１０は、共通鍵暗号化方式により供給される
１セット分の鍵を用いて暗号処理又は復号処理を行う。
鍵記憶回路１２０は、複数の共通秘密鍵から共通暗号化
方式により生成された複数セットの鍵を記憶する。鍵選
択回路１３０は、所与の鍵選択信号に基づいて、鍵記憶
回路１２０に記憶された複数セットの鍵の中から１セッ
トの鍵を選択し、暗号処理回路１１０に供給する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号装置及びデー
タ転送制御装置に関する。

【０００２】

【背景技術及び発明が解決しようとする課題】近年、映
像や音楽等各種データのディジタル化が進み、映像等の
データをハードディスク装置等の大容量記憶媒体に保存
して利用することができる。そのため、ハードディスク
装置等へのアクセスを制御するインタフェースＩＣ（In
tegrated Circuit）（広義には、データ転送制御装置）
に対し、データの機密保護の要求が高まっている。

【０００３】インタフェースＩＣにおけるデータの機密
保護は、暗号化により実現することができる。この場
合、インタフェースＩＣに採用する暗号方式は、その安
全性に加え、処理の高速化や低コスト化が重要な要素と
なる。

【０００４】これまで金融業界等の分野で、共通鍵暗号
化方式が幅広く用いられている。共通鍵暗号化方式は、
暗号化と復号化において同一の鍵を用いる。共通鍵暗号
化方式の中でも、ＤＥＳ（Data Encryption Standard）
は、１９７７年に米国情報処理標準規格（FEDERAL INFO
RMATION PROCESSING STANDARDS PUBLICATION：ＦＩＰＳ
−ＰＵＢ）４６−３として規定され、最も広く利用され
ている方式の１つである。

【０００５】ところで、近年の情報処理能力の飛躍的な
向上により、ＤＥＳの暗号強度が、従来ほど強固なもの
ではなくなっている。このため、ＤＥＳに代えてトリプ
ルＤＥＳが利用されることがある。

【０００６】以下では、ＤＥＳとトリプルＤＥＳと区別
するために、ＤＥＳをＳＤＥＳ（Sin gle DES）、トリ
プルＤＥＳをＴＤＥＳ（Triple DES）という。

【０００７】ＴＤＥＳは、ＳＤＥＳのアルゴリズムを３
回繰り返す暗号化方式であり、ＳＤＥＳのアルゴリズム
を流用することができる。更に、暗号鍵の鍵長を拡張す
るのと同様の効果を得ることができ、比較的容易に暗号
強度を高めることができる。

【０００８】しかしながら、ＳＤＥＳの暗号化方式をイ
ンタフェースＩＣに実装する場合、暗号処理回路と、共
通秘密鍵を用いて生成した鍵を該暗号処理回路に供給す
る鍵生成処理回路とを設ける必要があり、回路規模が大
きくなるという問題がある。またＳＤＥＳやＴＤＥＳの
暗号処理において、鍵生成処理に伴う処理速度の低下を
招くという問題がある。これに対して、生成した鍵を予
め記憶させることで、ある程度これらの弊害を回避する
ことができるが、逆に暗号強度を低下させてしまうとい
う問題がある。

【０００９】本発明は、以上のような技術的課題に鑑み
てなされたものであり、その目的とするところは、共通
鍵暗号化方式の暗号強度の低下、回路規模の増大及び処
理速度の低下を抑えることができる暗号装置及びデータ
転送制御装置を提供することにある。

【００１０】

【課題を解決するための手段】上記課題を解決するため
に本発明は、複数の共通秘密鍵を用いて共通鍵暗号化方
式により生成された複数セットの鍵を記憶する鍵記憶回
路と、所与の鍵選択信号に基づいて、前記鍵記憶回路に
記憶された複数セットの鍵の中から１セットの鍵を選択
する鍵選択回路と、前記鍵選択回路によって選択された
１セットの鍵を用いて、データブロック単位で入力され
る入力データに対して所与の暗号処理を行って変換デー
タを生成する暗号処理回路とを含む暗号装置に関係す
る。

【００１１】ここで所与の鍵選択信号は、ソフトウェア
で設定された設定値に基づいて生成されてもよい。また
鍵選択信号は、ハードウェア若しくはソフトウェアで設
定された信号として、暗号装置の外部から与えられるも
のであってもよい。

【００１２】本発明によれば、予め鍵セットを記憶して
おくようにしたので、鍵の生成に伴う時間を省くことが
できる。また鍵生成処理のための回路とを省略して回路
規模の増大を抑えることができる。しかも、複数セット
分を記憶し、鍵選択信号により選択したいずれか１セッ
トの鍵を用いて、暗号処理に使用する鍵を供給するよう
にしたので、たとえ１つの鍵が特定されたとしても他の
鍵を用いることができるので暗号装置の暗号強度を維持
することができる。

【００１３】また本発明に係る暗号装置は、前記所与の
鍵選択信号は、装置固有の識別情報に基づいて生成され
てもよい。

【００１４】ここで装置固有の識別情報は、暗号装置固
有の識別情報（番号）であってもよいし、当該暗号装置
が含まれる装置固有の識別情報であってもよい。また当
該暗号装置が実現される回路の識別情報や、該回路が形
成されるウェハの識別情報（例えば製造ロット）などが
考えられる。

【００１５】本発明によれば、装置ごとに異なる識別情
報を用いて鍵選択信号を生成するようにしたので、たと
え１つの装置の鍵が特定されたとしても他の装置の機密
性を維持することができる。また、装置ごとの識別情報
に基づいて鍵選択信号を生成することで、暗号処理で用
いられた鍵セットを特定することができるので、該暗号
処理で暗号化されたデータを復号化することもできる。

【００１６】また本発明に係る暗号装置は、前記所与の
鍵選択信号は、データブロックのカウント数に基づいて
生成されてもよい。

【００１７】また本発明に係る暗号装置は、所与の記憶
装置が所与のアクセス単位に前記変換データの書き込み
又は読み出しを行う場合において、前記所与の鍵選択信
号は、そのアクセス単位の記憶位置情報に基づいて生成
されてもよい。

【００１８】また本発明に係る暗号装置は、前記所与の
記憶装置のアクセス単位はセクタであり、前記アクセス
単位の記憶位置情報はセクタ番号であってもよい。

【００１９】本発明によれば、処理単位であるデータブ
ロックのカウント数、変換データの書き込み又は読み出
しが行われる記憶装置のアクセス単位、又はセクタ番号
に基づいて鍵選択信号を生成するようにしたので、ある
データブロック、アクセス単位、或いはセクタの鍵が特
定されたとしても他のデータブロック、アクセス単位、
或いはセクタの鍵が特定されたことにはならず、機密性
を維持することができる。また、暗号処理で用いられた
鍵セットを特定することができるので、該暗号処理で暗
号化されたデータを復号化することもできる。

【００２０】また本発明に係る暗号装置は、前記所与の
鍵選択信号は、装置固有の識別情報、データブロックの
カウント数及び所与の記憶装置が所与のアクセス単位に
前記変換データの書き込み又は読み出しを行う場合にお
けるアクセス単位の記憶位置情報の組み合わせに基づい
て生成されてもよい。

【００２１】本発明によれば、上述した装置固有の識別
情報、処理単位であるデータブロックのカウント数、変
換データの書き込み又は読み出しが行われる記憶装置の
アクセス単位（例えばセクタ）の組み合わせにより鍵選
択信号を生成するようにしたので、鍵の特定をより困難
にし、機密性を維持することができる。また、暗号処理
で用いられた鍵セットを特定することができるので、該
暗号処理で暗号化されたデータを復号化することもでき
る。

【００２２】また本発明に係る暗号装置は、前記鍵記憶
回路は、前記所与の鍵選択信号がａ（ａは正の整数）ビ
ットのとき、２^aより小さいｂ（ｂは正の整数）セット
の鍵を記憶することができる。

【００２３】本発明においては、ａビットの鍵選択信号
により２^aセットの鍵のいずれかのセットを選択するこ
とができるにもかかわらず、２^aより小さいｂセットの
鍵の中からいずれかのセットの鍵を選択するようにし
た。したがって、鍵選択信号に冗長性を持たせることが
できるので、鍵の特定をより困難にすることができる。

【００２４】また本発明に係る暗号装置は、前記暗号処
理回路は、前記鍵選択回路からその都度供給された鍵を
用いた前記所与の暗号処理を、ｃ（ｃは２以上の整数）
回繰り返し行って変換データを生成し、前記鍵選択回路
は、前記所与の選択信号に基づいて、前記鍵記憶回路に
記憶された複数セットの鍵の中から相異なるｃセットの
鍵を選択するための内部鍵選択信号を生成する内部鍵信
号生成回路を含むと共に、前記内部鍵選択信号に基づい
て前記鍵記憶回路に記憶された複数セットの鍵の中から
選択したｃセットの鍵を、１セットずつ、前記暗号処理
回路に供給することができる。

【００２５】本発明によれば、互いに異なる鍵を用いて
所与の暗号処理が複数回行われるため、暗号強度をより
高めることができる。特に、ＴＤＥＳのようにＳＤＥＳ
の処理を複数回繰り返す場合には、各々のＳＤＥＳの処
理で同一セットの鍵が選択されることがなくなり、暗号
強度を維持することができる。

【００２６】また本発明に係る暗号装置は、前記所与の
暗号処理が複数段の処理を含み、各段の処理にはそれぞ
れ対応した鍵が適用される場合において、前記鍵選択回
路は、前記所与の鍵選択信号に基づいて選択された１セ
ットの鍵を前記所与の暗号処理の各段の処理に適用する
順序を、所与の鍵選択値に基づいて変更することができ
る。

【００２７】ここで所与の鍵選択値は、所与の鍵選択信
号とは別個に与えられるもので、装置内部で生成するよ
うにしてもよいし、装置外部から与えられるようにして
もよい。

【００２８】本発明によれば、例えばＤＥＳのように鍵
の適用順序が固定される暗号化方式に限らず、複数の鍵
が適用される暗号化方式において、鍵の特定を困難に
し、機密性を大幅に向上させることができる。

【００２９】また本発明に係る暗号装置は、前記所与の
暗号処理に代えて、所与の復号処理を行うことができ
る。

【００３０】本発明によれば、上述したように機密性を
損なうことなく暗号化されたデータを、高速、かつ簡素
な構成で復号化することができる。

【００３１】また本発明に係るデータ転送制御装置は、
メモリと、外部に接続された所与の記憶装置にアクセス
するためのインタフェース回路と、前記メモリと前記イ
ンタフェース回路との間で転送されるデータに対し、暗
号処理又は復号処理を行う上記いずれか記載の暗号装置
とを含むことができる。

【００３２】本発明によれば、機密性を損なうことな
く、高速に暗号処理又は復号処理を行うデータ転送制御
装置の低コスト化を図ることができる。

【００３３】

【発明の実施の形態】以下、本発明の好適な実施の形態
について図面を用いて詳細に説明する。なお、以下に説
明する実施の形態は、特許請求の範囲に記載された本発
明の内容を不当に限定するものではない。また以下で説
明される構成の全てが本発明の必須構成要件であるとは
限らない。

【００３４】本実施形態に係る暗号装置は、入力データ
に対し、共通鍵暗号化方式により生成された鍵を用いた
複数段の演算処理を行って変換データを生成する。本実
施形態における暗号装置は、鍵の適用順序を切り替える
ことで、暗号処理及び復号処理を行うことができるよう
になっている。以下では、暗号装置の共通鍵暗号化方式
がＤＥＳである場合について説明する。

【００３５】１．ＳＤＥＳの概要まず、ＳＤＥＳ（Single DES）の処理内容の概要につい
て説明する。

【００３６】図１に、ＳＤＥＳによる暗号処理を行う暗
号装置の機能ブロック構成の概要を示す。

【００３７】暗号装置１０は、暗号処理部１２と、鍵生
成処理部１４とを含む。

【００３８】暗号処理部１２は、１データブロック当た
り６４ビットの入力データ（平文）に対して、非線形変
換と転置処理等を１６段繰り返し、変換データ（暗号
文）を出力する。鍵生成処理部１４は、６４ビットの共
通秘密鍵を用いて、暗号処理部１２の各段の処理で使用
される４８ビットの（サブ）鍵Ｋ₁〜Ｋ₁₆を生成する。

【００３９】図２に、暗号処理部１２の処理のフロー図
を示す。

【００４０】暗号処理部１２に、１データブロック単位
で６４ビットの入力データＭが入力されると、該入力デ
ータＭに対し、初期転置（Initial Permutation：Ｉ
Ｐ）を行ってランダム化する（ステップＳ１０）。初期
転置は、図３に示すように、入力ビット位置に応じて、
出力させるビット位置を変えて出力する。例えば、入力
ビットの第５８ビットを出力の第１ビットに転置し、ま
た入力の第１ビットを出力の第４０ビットに転置する。

【００４１】初期転置が行われた初期転置データは、ビ
ット分割され、上位３２ビットを第１段入力データ
Ｌ₀、下位３２ビットを第１段入力データＲ₀とする（ス
テップＳ１１、Ｓ１２）。

【００４２】第１段入力データＲ₀は、第１段の鍵Ｋ₁を
用いた非線形変換ｆにより非線形変換データｆ（Ｒ₀，
Ｋ₁）に変換される（ステップＳ２０−１）。

【００４３】図４に、非線形変換ｆの機能ブロック図を
示す。

【００４４】ここでは、第ｉ（１≦ｉ≦１６、ｉは整
数）段の非線形変換ｆの機能ブロック図を示している。

【００４５】第ｉ段入力データＲ_i-1は、拡大転置
（Ｅ）により、拡大転置データＥＲ_i-1に変換される
（ステップＳ５０）。拡大転置（Ｅ）は、図５に示すよ
うに、所定のビットを重複させて、３２ビットの第ｉ段
入力データＲ_i-1を４８ビットの拡大転置データＥＲ_i-1
に変換する。図５では、例えば入力の第１ビットを出力
の第２ビット及び第４８ビットから出力させ、入力の第
３２ビットを出力の第１ビット及び第４７ビットから出
力させることを示している。

【００４６】拡大転置データＥＲ_i-1は、第ｉ段用の鍵
Ｋ_iとの間で排他的論理和演算（ＸＯＲ）が行われ（ス
テップＳ５１）、それぞれ６ビットずつＳＢＯＸ０〜７
に入力される。ここで、第ｉ段用の鍵Ｋ_iは、図１に示
すように暗号処理部１２に対応して設けられた鍵生成処
理部１４により生成された第１段〜第１６段の鍵Ｋ₁〜
Ｋ₁₆のうちの第ｉ段用のものである。

【００４７】ＳＢＯＸ０〜７は、それぞれ入力された６
ビットに対して、圧縮換字変換を行う（ステップＳ５２
−０〜Ｓ５２−７）。

【００４８】図６に、ＳＢＯＸ０において行われる圧縮
換字変換について説明するための図を示す。

【００４９】ＳＢＯＸ０では、ロウ番号及びカラム番号
により４ビットデータが特定される。ロウ番号は、入力
される６ビットのうち最初（最も左端）の１ビットと最
後（最も右端）の１ビットとにより特定される。カラム
番号は、入力される６ビットのうち残りの４ビットによ
り特定される。そして、これらロウ番号及びカラム番号
により特定される４ビットデータを、入力された６ビッ
トに対応させて変換する。

【００５０】例えば、拡大転置データＥＲ_i-1と第ｉ段
用の鍵Ｋ_iとの間で排他的論理和演算の結果が、６ビッ
トの「１０１０００」とすると、ロウ番号は（１０）₂
であるため２行目が特定され、カラム番号は（０１０
０）₂であるため４行目が特定される。したがって、Ｓ
ＢＯＸ０に入力された６ビットの「１０１０００」は、
４ビットの「１１０１（＝１３）」に変換される。

【００５１】ここではＳＢＯＸ０について説明したが、
ＳＢＯＸ１〜ＳＢＯＸ７についてもそれぞれロウ番号及
びカラム番号により同様の変換が行われる。

【００５２】このようにしてＳＢＯＸ０〜７から出力さ
れた４ビットの変換データは、転置処理（Ｐ）が行われ
る（ステップＳ５３）。転置処理は、図７に示すよう
に、入力ビット位置に応じて、出力させるビット位置を
変えて出力する。例えば、入力ビットの第１６ビットを
出力の第１ビットに転置し、また入力の第１ビットを出
力の第９ビットに転置する。

【００５３】この転置処理（Ｐ）の結果、３２ビットの
非線形変換データＥＲ_i-1（＝ｆ（Ｒ_i-1，Ｋ_i））が生
成される。

【００５４】図２において、第１段入力データＲ₀に基
づいて生成された非線形変換データｆ（Ｒ₀，Ｋ₁）は、
第１段入力データＬ₀との間で排他的論理和演算が行わ
れ（ステップＳ２１−１）、その演算結果が第２段入力
データＲ₁になる（ステップＳ２２−１）。

【００５５】一方、第２段入力データＬ₁は、第１段入
力データＲ₀になる（ステップＳ２３−１）。

【００５６】以上のように第１段入力データＬ₀、Ｒ₀か
ら第２段入力データＬ₁、Ｒ₁が生成されるまでの処理を
ＳＤＥＳの暗号処理の第１段の処理（所与の演算処理）
とすると、同様の処理が第１６段まで行われる。各段の
非線形変換においては、段ごとに適用される鍵が変更さ
れる。

【００５７】その結果、第１６段で生成された第１６段
入力データＬ₁₆、Ｒ₁₆は、以下のようになる（ステップ
Ｓ２３−１６、Ｓ２２−１６）。

【００５８】Ｌ₁₆＝Ｒ₁₅ ・・・（１）Ｒ₁₆＝Ｌ₁₅（＋）ｆ（Ｒ₁₅，Ｋ₁₆）・・・（２）ここで、（＋）は排他的論理和演算であることを示す。

【００５９】そして、最後に上位３２ビットと下位３２
ビットとを入れ替えて、入替データＬ₁₆´を第１６段入
力データＲ₁₆にし（ステップＳ２４）、入替データＲ₁₆
´を第１６段入力データＬ₁₆にして（ステップＳ２
５）、６４ビットデータとして最終転置（ＩＰ^-1）を行
う（ステップＳ２６）。

【００６０】最終転置（ＩＰ^-1）は初期転置（ＩＰ）に
対応しており、図８に示すように初期転置でビット位置
を入れ替えたデータを、元に戻す。例えば入力の第１ビ
ットを出力の第５８ビットに転置し、また入力の第４０
ビットを出力の第１ビットに転置する。

【００６１】その結果、変換データＰが生成される。

【００６２】次に、このような暗号処理部１２の各段
に、非線形変換を行うための鍵の生成フローについて説
明する。各段に供給される鍵は、鍵生成処理部１４にお
いて生成される。

【００６３】図９に、鍵生成処理部１４の処理のフロー
図を示す。

【００６４】鍵生成処理部１４に、６４ビットの共通秘
密鍵Ｋ₀が入力されると、該共通秘密鍵Ｋ₀に対し、選択
転置（ＰＣ−１）を行ってランダム化する（ステップＳ
６０）。選択転置は、図１０に示すように、入力ビット
位置に応じて、出力させるビット位置を変えて出力し、
６４ビットの共通秘密鍵Ｋ₀からパリティが除去された
５６ビットの選択転置データを出力する。例えば、入力
の第５７ビットを出力の第１ビットに転置し、また入力
の第１ビットを出力の第８ビットに転置する。

【００６５】選択転置が行われた選択転置データは、ビ
ット分割され、上位２８ビットを第１段入力データ
Ｃ₀、下位２８ビットを第１段入力データＤ₀とする（ス
テップＳ６１、Ｓ６２）。

【００６６】第１段入力データＣ₀は左方向に巡回シフ
トが行われて、第２段入力データＣ₁となる（ステップ
Ｓ６３−１、Ｓ６４−１）。また、第１段入力データＤ
₀は左方向に巡回シフトが行われて、第２段入力データ
Ｄ₁となる（ステップＳ６５−１、Ｓ６６−１）。ここ
で、巡回シフトを行うビット数は、図１１に示すように
ＤＥＳの処理段ごとに決められている。例えば、第１段
の場合は１ビット、第３段の場合は２ビットだけ、巡回
シフトが行われることを示している。

【００６７】更に第１段では、巡回シフトされた結果生
成された第２段入力データＣ₁、Ｄ₁に対して圧縮転置
（ＰＣ−２）を行い（ステップＳ６７−１）、第１段の
鍵Ｋ₁が生成される。

【００６８】圧縮転置（ＰＣ−２）では、それぞれ２８
ビットの第２段入力データＣ₁、Ｄ₁からなる５６ビット
のデータを４８ビットのデータに変換する。この圧縮転
置は、図１２に示すように、入力ビット位置に応じて、
出力させるビット位置を変えて出力する。例えば、入力
の第１４ビットを出力の第１ビットに転置し、また入力
の第１ビットを出力の第５ビットに転置する。

【００６９】この圧縮転置が行われた４８ビットのデー
タが、第１段の鍵Ｋ₁として、暗号処理部１２の第１段
の非線形変換に用いられる。

【００７０】以上のように第１段入力データＣ₀、Ｄ₀か
ら第２段入力データＣ₁、Ｄ₁が生成されるまでの処理を
ＳＤＥＳの鍵生成の第１段の処理とすると、同様の処理
が第１６段まで行われる。このように、各段において生
成された鍵Ｋ₁〜Ｋ₁₆は、暗号処理部１２の暗号処理の
各段に適用される。

【００７１】図１３に、ＳＤＥＳによる復号処理を行う
復号装置の機能ブロック構成の概要を示す。

【００７２】復号装置７０は、復号処理部７２と、鍵生
成処理部７４とを含む。

【００７３】復号処理部７２は、１ブロック６４ビット
の入力データ（暗号文）に対して、非線形変換と転置処
理等を１６段繰り返し、変換データ（平文）を出力す
る。鍵生成処理部７４は、６４ビットの共通秘密鍵か
ら、復号処理部７２の各段の処理で用いる４８ビットの
（サブ）鍵Ｋ₁〜Ｋ₁₆を生成する。

【００７４】復号処理部７２は、上述の暗号処理部１２
と逆の手順をとることで実現することができる。この場
合、復号処理部７２の各段の鍵は、暗号処理とは逆に鍵
Ｋ₁₆、Ｋ₁₅、・・・、Ｋ₁の順に適用される。

【００７５】鍵生成処理部７４は、上述した鍵生成処理
部１４の左巡回シフトを右巡回シフトに変更すること
で、各段ごとに鍵Ｋ₁₆、Ｋ₁₅、・・・、Ｋ₁の順で生成
される。

【００７６】このように復号処理は、各段の処理内容に
着目すれば、暗号処理の各段の処理内容と共通させるこ
とができる。本実施形態における暗号装置は、暗号処理
を行う回路を共通化し、該回路を用いて復号処理を行う
ように構成している。

【００７７】２．暗号化モードＳＤＥＳでは、入力データとしての平文又は暗号文が複
数のブロックに分割され、ブロックデータ単位で暗号処
理又は復号処理が行われる。したがって、同じブロック
データの場合には、変換データも同じになる可能性があ
り、鍵が特定されやすくなる。そのため、ＳＤＥＳで
は、ＣＢＣ（Cipher Block Chaining）モードやＣＦＢ
（Cipher FeedBack）モード等の種々の暗号化モードが
利用される。

【００７８】図１４に、ＣＢＣモードの暗号処理と復号
処理の機能ブロック図を示す。

【００７９】暗号処理部８０では、ＤＥＳ演算部８２に
より、ブロックデータ単位に暗号処理が行われて変換デ
ータが生成される。ＤＥＳ演算部８２において暗号処理
が行われる平文のｊ番目のデータブロックをＭ_jとする
と、該データブロックＭ_jと１つ前のデータブロックの
変換データＣ_j-1との間で排他的論理和演算が行われ、
その演算結果がＤＥＳ演算部８２に入力される。ＤＥＳ
演算部８２は、その演算結果について暗号処理を行って
変換データＣ_jを生成する。変換データＣ_jは暗号文とし
て出力されると共に、レジスタ８４に保持される。平文
の次のデータブロックが入力されたときには、レジスタ
８４に保持された前のブロックの変換データを用いて生
成された演算データがＤＥＳ演算部８２に入力される。

【００８０】復号処理部９０では、ＤＥＳ^-1演算部９２
により、ブロックデータ単位に復号処理が行われて変換
データ（復号データ、平文）が生成される。ＤＥＳ^-1演
算部９２において復号処理が行われる暗号文のｊ番目の
データブロックをＣ_jとすると、該データブロックＣ_jが
ＤＥＳ^-1演算部９２において復号化される。ＤＥＳ^- ¹演
算部９２で復号化された変換データに対して、１つ前の
データブロックの変換データＣ_j-1との間で排他的論理
和演算を行った演算結果が、変換データ（復号データ）
Ｍ_jとなる。変換データＣ_jは、暗号文として復号処理部
９０に入力されると共に、レジスタ９４に保持される。
暗号文の次のデータブロックが入力されたときには、レ
ジスタ９４に保持された前のブロックの変換データを用
いて生成された演算結果が復号文のデータブロックＭ_j
として出力される。

【００８１】これにより、ブロックデータの内容が同じ
であっても、その前のデータブロックの内容に応じた演
算結果に対して暗号処理が行われるため、複雑な構成を
とることなく、鍵の特定を困難にすることができる。

【００８２】３．ＴＤＥＳの概要ところでコンピュータ技術等の進歩を背景に、情報処理
能力の向上が著しく、上述したＳＤＥＳの安全性には限
界がある。そのため更に安全性を高めるために、ＳＤＥ
Ｓを３回ループさせるＴＤＥＳがある。

【００８３】図１５に、ＴＤＥＳの処理フローの概要を
示す。

【００８４】ＴＤＥＳによる暗号処理は、ＤＥＳ演算部
９６−１、９６−２、９６−３により、上述したＳＤＥ
Ｓの暗号処理又は復号処理を行うことで実現される。Ｄ
ＥＳ演算部９６−１は、６４ビットの平文の入力データ
に対し、暗号処理の各段の鍵を有する鍵セットＫ_0Aを適
用したＳＤＥＳの暗号処理を行う。ＤＥＳ演算部９６−
２は、ＤＥＳ演算部９６−１から出力された変換データ
に対し、復号処理の各段の鍵を有する鍵セットＫ_0Bを適
用したＳＤＥＳの復号処理（ＤＥＳ^-1）を行う。ＤＥＳ
演算部９６−３は、ＤＥＳ演算部９６−２から出力され
た変換データに対し、暗号処理の各段の鍵を有する鍵セ
ットＫ_0Cを適用したＳＤＥＳの暗号処理を行い、変換デ
ータＣを出力する。

【００８５】こうすることで、鍵セットＫ_0A、Ｋ_0B、Ｋ
_0Cが全て異なる場合、鍵長は１９２（＝６４×３）ビッ
トとなり、更に暗号強度を高めることができる。

【００８６】なお、ＴＤＥＳの復号処理を行う場合に
は、図１５に示した暗号処理とは逆に、復号処理、暗号
処理、復号処理の順に行えばよい。

【００８７】４．本実施形態における暗号装置４．１構成の概要図１６に、本実施形態における暗号装置の構成の概要を
示す。

【００８８】本実施形態における暗号装置１００は、暗
号処理回路１１０と、鍵記憶回路１２０と、鍵選択回路
１３０とを含む。暗号処理回路１１０は、上述したＳＤ
ＥＳの第１段から第１６段までの各段の処理を行うこと
ができる。なお、暗号処理回路１１０は、ＳＤＥＳの処
理を繰り返すことで、上述したＴＤＥＳの処理を行うこ
とができる。

【００８９】鍵記憶回路１２０は、外部の鍵生成部１２
２において生成された鍵を複数セット記憶する。鍵生成
部１２２は、上述した鍵生成処理により、共通秘密鍵を
用いてＳＤＥＳの１６段分の鍵を生成する。図１６で
は、鍵生成部１２２は、共通秘密鍵ＫＥＹ＿Ａ〜ＫＥＹ
＿Ｘについて、それぞれ複数セットの鍵ＫＥＹ＿Ａ１〜
ＫＥＹ＿Ａ１６、・・・、ＫＥＹ＿Ｘ１〜ＫＥＹ＿Ｘ１
６を生成する。鍵記憶回路１２０は、これら複数セット
の鍵ＫＥＹ＿Ａ１〜ＫＥＹ＿Ａ１６、・・・、ＫＥＹ＿
Ｘ１〜ＫＥＹ＿Ｘ１６を記憶する。

【００９０】鍵選択回路１３０は、所与の鍵選択信号に
基づいて、鍵記憶回路１２０に記憶された複数セットの
鍵の中から１セットの鍵（例えばＫＥＹ＿Ｎ１〜ＫＥＹ
＿Ｎ１６）を選択し、暗号処理回路１１０に供給する。
より具体的には、鍵選択回路１３０は、暗号処理回路１
１０で行われるＳＤＥＳの各段の処理（例えば第ｉ段）
に対応した鍵（例えばＫＥＹ＿Ｎｉ）を、選択した１セ
ットの鍵の中から出力する。ここで所与の鍵選択信号と
しては、例えばハードウェアで設定された信号であって
もよいし、ソフトウェアで設定された信号であってもよ
い。またこれらの信号が、暗号装置２００の外部から与
えられる構成とすることも可能である。

【００９１】このように、暗号処理に先立って、予め鍵
セットを記憶しておくようにしたので、鍵の生成に伴う
時間を省くことができる。また鍵生成処理のための回路
とを省略して回路規模の増大を抑えることができる。し
かも、複数セット分を記憶し、鍵選択信号により選択し
たいずれか１セットの鍵を用いて、暗号処理に使用する
鍵を供給するようにしたので、たとえ１セット分の鍵が
特定されたとしても他のセットの鍵を用いることができ
るので暗号装置の暗号強度を維持することができる。

【００９２】４．２鍵選択信号本実施形態における鍵選択信号は、暗号強度の観点か
ら、固定化されないことが望ましく、例えば以下のよう
に生成することができる。このような鍵選択信号は、ハ
ードウェアで生成されたり、ソフトウェアで設定された
設定値に基づいて生成されてもよい。また外部に設けら
れたスイッチ操作により、ユーザが入力するように構成
することも可能である。また鍵選択信号は、ハードウェ
ア若しくはソフトウェアで設定された信号として、暗号
装置の外部から与えられるものであってもよい。

【００９３】４．２．１識別情報に基づく鍵選択信号暗号装置１００は、図１６に示すように識別情報レジス
タ１３２を含むことができる。そして、識別情報レジス
タ１３２の設定値に基づいて鍵選択信号を生成すること
ができる。したがって、識別情報レジスタ１３２に暗号
装置固有の識別情報（回路ＩＤ）を設定することで、鍵
の特定を困難にすることができる。

【００９４】このような暗号装置固有の識別情報として
は、例えばＩＥＥＥ１３９４のＤＴＣＰ（Digital Tran
smission Content Protection）のネゴシエーションに
おいて用いられるデバイスＩＤを採用することができ
る。このデバイスＩＤは、ＣＰＵ等のホストにより所与
のレジスタ領域に書き込まれる。したがって、例えばリ
セット直後にその設定値を読み出し、該設定値を識別情
報レジスタ１３２に書き込むようにすればよい。

【００９５】また、識別情報レジスタ１３２を暗号装置
１００内に設けることなく、外部からその設定値を入力
させるようにしてもよい。例えばフラッシュメモリに書
き込まれた識別情報を読み出して、該識別情報に対応し
た鍵セットを選択するようにしてもよい。

【００９６】なお上述した識別情報としては、他に、回
路が形成されるウェハや製造ロットに対応した情報を採
用することができる。

【００９７】このような識別情報に基づいて鍵選択信号
を生成することで、暗号処理で用いられた鍵セットを特
定することができるので、該暗号処理で暗号化されたデ
ータを復号化することもできる。

【００９８】この場合、装置ごとに異なる識別情報を用
いて鍵選択信号を生成するようにしたので、たとえ１つ
の装置の鍵が特定されたとしても他の装置の機密性を維
持することができる。

【００９９】４．２．２データブロックに基づく鍵選
択信号暗号装置１００では、データブロック単位で暗号処理又
は復号処理が行われる。そこで、処理対象のデータブロ
ックをカウントし、そのカウント数に基づいて鍵選択信
号を生成することで、鍵の特定を困難にすることができ
る。

【０１００】この場合、暗号装置１００は図１６に示す
ようにデータ制御回路１４０を含むことができる。デー
タ制御回路１４０は、暗号処理回路１１０から出力され
た変換データについて、例えば所与の外部記憶装置１５
０に対する書き込み制御を行う。またデータ制御回路１
４０は、所与の外部記憶装置１５０に対する読み出し制
御を行い、読み出されたデータを暗号処理回路１１０に
出力し、復号処理させる。

【０１０１】このようなデータ制御回路１４０は、アク
セス制御回路１４２と、データブロックカウント回路１
４４と、鍵選択信号生成回路１４６とを含むことができ
る。アクセス制御回路１４２は、暗号処理回路１１０の
処理単位であるデータブロック単位で、外部記憶装置１
５０に対する書き込み制御及び読み出し制御を行う。デ
ータブロックカウント回路１４４は、書き込み制御又は
読み出し制御が行われたデータブロックの数をカウント
する。鍵選択信号生成回路１４６は、データブロックカ
ウント回路１４４によりカウントされたデータブロック
数に基づいて鍵選択信号を生成する。

【０１０２】鍵選択信号生成回路１４６は、図１７
（Ａ）に示すように、予めデータブロックのカウント数
ごとに対応した鍵選択信号を生成するようにしてもよ
い。例えば、データブロックカウント回路１４４により
カウントされたデータブロック数がＣＴ０のとき、値が
ＫＳ０の鍵選択信号が生成される。鍵選択回路１３０で
は、鍵選択信号の値ＫＳ０に対応した鍵セットが選択さ
れる。

【０１０３】また鍵選択信号生成回路１４６は、図１７
（Ｂ）に示すように、データブロックのカウント数が表
される複数ビットのデータのうち、例えば下位３ビット
に対応した鍵選択信号を生成するようにしてもよい。す
なわち、データブロックのカウント数をビット表現した
場合に、下位３ビットが「０００」のときは値がＫＳ０
の鍵選択信号を生成し、下位３ビットが「１１１」のと
きは値がＫＳ７の鍵選択信号を生成する。

【０１０４】このようにデータブロックのカウント数に
基づいて鍵選択信号を生成することで、暗号処理で用い
られた鍵セットを特定することができるので、該暗号処
理で暗号化されたデータを復号化することもできる。

【０１０５】なお、データ制御回路１４０を暗号装置１
００内に設けることなく、外部からデータブロックのカ
ウント数を入力させ、暗号装置１００内で該データブロ
ックのカウント数に対応した鍵選択信号を生成するよう
にしてもよい。或いは、外部からデータブロックのカウ
ント数に基づいて生成された鍵選択信号を入力させるよ
うにしてもよい。

【０１０６】これにより、あるデータブロックの鍵が特
定されたとしても他のデータブロックの鍵が特定された
ことにはならず、機密性を維持することができる。

【０１０７】４．２．３外部記憶装置のセクタに基づ
く鍵選択信号暗号装置によって暗号化されたデータが、所与の外部記
憶装置に保存されたり、該外部記憶装置から読み出され
たデータが暗号装置によって復号化される場合には、外
部記憶装置のアクセス単位（セクタや、メモリのワード
ラインなど）の記憶位置情報（セクタ番号や、メモリの
アドレスなど）に基づいて、鍵選択信号を生成すること
ができる。この場合は、セクタに応じて、使用される鍵
セットが異なるため、鍵の特定を困難にすることができ
る。

【０１０８】図１８に、外部記憶装置のセクタに基づい
て鍵セットが選択される暗号装置の構成の一例を示す。

【０１０９】ここで図１６に示す暗号装置と同一部分に
は同一符号を付し、適宜説明を省略する。

【０１１０】暗号装置１８０は、暗号処理回路１１０、
鍵記憶回路１２０、鍵選択回路１３０、データ制御回路
１８２、カウンタ回路１８４を含むことができる。

【０１１１】データ制御回路１８２は、暗号処理回路１
１０から出力された変換データについて、例えば所与の
外部記憶装置１５０に対する書き込み制御を行う。また
データ制御回路１８２は、所与の外部記憶装置１５０に
対する読み出し制御を行い、読み出されたデータを暗号
処理回路１１０に出力し、復号処理させることができ
る。

【０１１２】カウンタ回路１８４は、所与の基準クロッ
クに基づいてカウント数をカウントアップする。カウン
ト数は、鍵選択信号として鍵選択回路１３０に対して出
力されると共に、データ制御回路１８２に対しても出力
される。

【０１１３】鍵選択回路１３０は、カウント数に応じて
複数セットの鍵の中から１セットを選択する。データ制
御回路１８２は、外部記憶装置１５０のセクタの番号
と、カウンタ回路１８４からのカウント数とを記憶す
る。これにより、図１９（Ａ）に示すように、データ制
御回路１８２によりアクセスされたセクタ番号と、鍵選
択回路１３０において選択された鍵選択信号とを関連付
けることができる。

【０１１４】こうすることで、セクタ番号により特定さ
れる外部記憶装置１５０の記憶位置情報に基づいて選択
された鍵セットを用いて暗号処理又は復号処理を行わせ
ることができる。また、セクタ番号と鍵選択信号とを対
応付けておくことができるので、暗号処理で用いられた
鍵セットを容易に特定することができ、該暗号処理で暗
号化されたデータを復号化することができる。なお、出
力されるカウント数は規則性を有するため、所与のスク
ランブルをかけて（例えばデコード出力を行って）変換
しておくことが望ましい。

【０１１５】また複数ブロックに分割したセクタ内の各
ブロックとカウント数とを予め対応付けておくことで、
カウント数のみで鍵選択信号の選択制御を行うことも可
能である。この場合、各セクタ内の特定のブロックは同
じ鍵セットが用いられることになるが、鍵の特定を困難
にすることができる。

【０１１６】更にまた暗号装置１８０にカウンタ回路１
８４を設けることなく、図１９（Ｂ）に示すようにデー
タ制御回路１８２によりアクセスされるセクタ番号が表
される複数ビットのデータのうち、例えば下位２ビット
に対応した鍵選択信号を生成するようにしてもよい。す
なわち、セクタ番号をビット表現した場合に、下位２ビ
ットが「００」のときは値がＫＳ０の鍵選択信号を生成
し、下位２ビットが「１１」のときは値がＫＳ３の鍵選
択信号を生成する。このようにセクタ番号に基づいて鍵
選択信号を生成することで、暗号処理で用いられた鍵セ
ットを特定することができるので、該暗号処理で暗号化
されたデータを復号化することもできる。

【０１１７】なおデータ制御回路１８２を暗号装置１８
０内に設けることなく、外部からセクタ番号を入力させ
て、該セクタ番号に対応した鍵選択信号を生成するよう
にしてもよい。或いは、外部から入力されるカウント数
に基づいて生成された鍵選択信号を入力させるようにし
てもよい。

【０１１８】これにより、あるセクタにアクセスされた
データの鍵が特定されたとしても他のセクタにアクセス
されたデータの鍵が特定されたことにはならず、機密性
を維持することができる。

【０１１９】なお、上述した装置固有の識別情報、デー
タブロックのカウント数及び所与の記憶装置が所与のア
クセス単位に前記変換データの書き込み又は読み出しを
行う場合におけるアクセス単位の記憶位置情報（例えば
セクタ番号）の組み合わせに基づいて、鍵選択信号を生
成するようにしてもよい。すなわち、装置ＩＤ、データ
ブロックのカウント数及びセクタ番号の全て、或いは装
置ＩＤ、データブロックのカウント数及びセクタ番号の
うちいずれか２つに基づいて、鍵選択信号を生成するよ
うにしてもよい。この場合、鍵の特定をより困難にする
ことができるので、機密性を向上させることができる。

【０１２０】４．２．４鍵選択信号の冗長性鍵選択信号がａ（ａは正の整数）ビットのとき、鍵記憶
回路１２０にｂ（ｂは正の整数）セットの鍵が記憶され
ているものとする。ｂが２^aに等しい場合、鍵選択信号
と、鍵記憶回路１２０に記憶される鍵セットとが１対１
に対応付けられることになる。この場合、鍵選択信号か
ら鍵セットを簡単に特定することができるようになるた
め、上述したように鍵選択信号を適宜切り替えて供給す
るようにしても、鍵選択信号から鍵セットが特定され
る。

【０１２１】そこで本実施形態では、鍵記憶回路１２０
に２^aより小さいｂセットの鍵を記憶させて、鍵選択信
号に冗長性を持たせるようにしている。

【０１２２】例えばａが６４の鍵選択信号の値「０１０
１０００・・・・」のうち上位第２及び第３ビットの
「１０」に対応する所与の鍵セットＫＥＹ＿Ｎ１〜ＫＥ
Ｙ＿Ｎ１６が、鍵選択回路１３０において選択されるも
のとする。この場合、鍵選択信号の値が「１１００１１
１・・・」でもよく、上位第２及び第３ビットが「１
０」であれば、所与の鍵セットＫＥＹ＿Ｎ１〜ＫＥＹ＿
Ｎ１６が選択されることになる。

【０１２３】したがって、鍵選択回路１３０において同
じ鍵セットが選択される場合でも、鍵選択信号が異なる
ため、鍵の特定をより困難にすることができるようにな
る。

【０１２４】４．２．５鍵選択値によるスクランブル鍵の特定をより困難にするために、図１６、図１８或い
は図２０に示す鍵選択回路１３０は、鍵選択信号により
選択された１セットの鍵について、所与の鍵選択値に基
づいて暗号処理の各段の処理への適用順序を変更するこ
ともできる。この鍵選択値は、所与の鍵選択信号とは別
個に与えられるもので、装置内部で生成するようにして
もよいし、装置外部からハードウェア若しくはソフトウ
ェアにより生成された値として与えられるようにしても
よい。これにより、例えばＳＤＥＳのように鍵の適用順
序が固定される暗号化方式に限らず、複数の鍵が適用さ
れる暗号化方式において、鍵の特定を困難にし、機密性
を大幅に向上させることができる。

【０１２５】４．３ＴＤＥＳへの応用上述したように暗号処理回路１１０は、ＳＤＥＳの処理
をｃ（ｃは２以上の整数）回繰り返すように構成しても
よい。例えばＳＤＥＳの処理を３（ｃ＝３）回繰り返し
行うことでＴＤＥＳによる暗号処理又は復号処理を行う
ことができる。したがって、ＳＤＥＳの処理を行うたび
に鍵セットを変えることによって、ＴＤＥＳの処理を行
うことができる。

【０１２６】しかしながら、図１５に示すようなＴＤＥ
Ｓの処理において、３つの鍵セットのうち２つの鍵セッ
トについて重複して同じ鍵セットが選択されてしまう場
合がある。この場合には、実質的にＳＤＥＳと同程度の
暗号強度となり、ＴＤＥＳにおける十分な暗号強度を得
ることができない。

【０１２７】そこで本実施形態における鍵選択回路１３
０は、鍵選択信号変換回路１３４を含み、鍵選択信号変
換回路１３４は、１つの鍵選択信号から相異なる３つの
鍵セットを選択するための内部鍵選択信号を生成するよ
うに構成してもよい。

【０１２８】これによりＳＤＥＳの各回の処理ごとに、
上述した鍵選択信号により選択された鍵セットが偶然に
重複してしまうといった状況を回避することができる。

【０１２９】図２０に、ＴＤＥＳの暗号処理における鍵
選択処理について説明するための模式図を示す。

【０１３０】ただし、図１６に示す暗号装置１００と同
一部分には同一符号を付し、適宜説明を省略する。

【０１３１】鍵選択信号変換回路１３４は、鍵選択信号
から内部鍵選択信号を生成する。このとき鍵選択信号変
換回路１３４は、ＳＤＥＳのループ回数分（３つ）だけ
内部鍵選択信号（ＫＡ、ＫＢ、ＫＣ）を生成する。

【０１３２】例えば鍵選択信号変換回路１３４は、以下
のようにして、９ビットの鍵選択信号K[8:0]から３ビッ
トの内部鍵選択信号ＫＡ［２：０］、ＫＢ［２：０］、
ＫＣ［２：０］を生成することができる。

【０１３３】 KA[2:0]={K[0],0, K[3],K[6]}>>SHFT={0,1,0}=2 ・・・（３−Ａ） KB[2:0]={K[1],0,~K「3」,K[7]}>>SHFT={0,0,1}=1 ・・・（３−Ｂ） KC[2:0]={K[2],1, K[4],K[8]}>>SHFT={1,0,1}=5 ・・・（３−Ｃ）ここで、Ｋ［ｉ］をＫのｉビット目、〜Ｋ［ｉ］をＫ
［ｉ］のビット反転、シフト量ＳＨＦＴをＫ［５］とし
ている。

【０１３４】このように選択された内部鍵選択信号ＫＡ
［２：０］〜ＫＣ［２：０］のうち、内部鍵選択信号Ｋ
Ａ［２：０］、ＫＢ［２：０］についてはＫ［３］の論
理が反転しており、また内部鍵選択信号ＫＢ［２：
０］、ＫＣ［２：０］についても「０」、「１」固定さ
れているビットにより同じ値にならない。したがって、
内部鍵選択信号ＫＡ［２：０］〜ＫＣ［２：０］を相異
なる値にすることができる。そして、例えば内部鍵選択
信号の値が「２」のとき鍵セットＫＥＹ＿Ｃ１〜ＫＥＹ
＿Ｃ１６、「１」のとき鍵セットＫＥＹ＿Ｂ１〜ＫＥＹ
＿Ｂ１６、「５」のとき鍵セットＫＥＹ＿Ｆ１〜ＫＥＹ
＿Ｆ１６を割り当てておくことで、重複して鍵セットが
選択されることはない。

【０１３５】このようにして、鍵選択回路１３０は、Ｓ
ＤＥＳのループ回数に応じた内部鍵選択信号に基づい
て、鍵記憶回路１２０に記憶された複数セットの鍵の中
から１つの鍵セットを選択する。また鍵選択回路１３０
は、選択した鍵セットの中から、ＳＤＥＳの処理段数に
応じた鍵を暗号処理回路１１０に供給する。

【０１３６】これにより、暗号強度を損なうことなく、
ＴＤＥＳの処理を行うことができる。

【０１３７】なお上述の識別情報レジスタ１３２、鍵選
択信号変換回路１３４及びデータ制御回路１４０は、暗
号装置１００に全て含むように構成してもよいし、これ
らは暗号装置１００の任意の構成要素とすることができ
る。

【０１３８】４．４暗号装置の構成例次に、鍵選択信号により選択した鍵セットを用いて暗号
処理又は復号処理を行う暗号装置の詳細な構成例につい
て説明する。

【０１３９】本実施形態における暗号装置は、ＳＤＥＳ
の暗号処理（復号処理）を行うＳＤＥＳモード又はＴＤ
ＥＳの暗号処理（復号処理）を行うＴＤＥＳモードを切
り替え可能に構成されている。ＴＤＥＳの暗号処理及び
復号処理は、上述のように機密性を十分に確保すること
ができるが、ＳＤＥＳの回路に比べて処理速度が低下す
るという欠点がある。その一方で、ＳＤＥＳによる暗号
化の強度でも機密性は十分保たれることから、モードを
切り替えることで、両モードの利点を生かすことができ
る。

【０１４０】このような本実施形態における暗号装置
は、同様の構成の２つのＤＥＳ演算回路により、ＳＤＥ
Ｓの１６段分の処理をパイプライン動作で行うように構
成している。なお、パイプライン動作するＤＥＳ演算回
路は３つ以上でもよいが、以下では２つの場合について
説明する。

【０１４１】更に本実施形態における暗号装置は、上述
のパイプライン動作を行うＳＤＥＳの処理を複数回ルー
プさせることでＴＤＥＳによる暗号処理又は復号処理を
実現する。こうすることで、回路規模の増大を招くこと
なくＴＤＥＳによる暗号処理及び復号処理を実現し、か
つより高速なＳＤＥＳによる処理を実現する。

【０１４２】また本実施形態における暗号装置は、鍵生
成処理を行わず、上述した鍵生成処理により予め生成し
た鍵を保持し、ＳＤＥＳの各段の処理に適用させるよう
にしている。これにより、パイプライン動作中に、鍵生
成処理を行う必要がなくなるので、パイプライン処理の
高速化を図ることができる。

【０１４３】４．４．１ブロック構成以下では、２（Ｌ＝２）段のＤＥＳ演算回路で構成さ
れ、これらがパイプライン動作を行う暗号装置について
説明するが、３段以上（Ｌ≧３）のＤＥＳ演算回路を有
し、これらがパイプライン動作を行うようにしてもよ
い。

【０１４４】図２１に、本実施形態における暗号装置の
ブロック構成図を示す。

【０１４５】本実施形態における暗号装置２００は、同
様の構成のＤＥＳ演算回路（第１及び第２の暗号処理回
路）２１０、２２０を含む。ＤＥＳ演算回路２１０、２
２０は、それぞれ図２に示したＳＤＥＳの非線形変換や
排他的論理和演算等の１段分の処理（所与の演算処理）
を行う。暗号処理又は復号処理を（Ｍ＋Ｎ）（Ｍ、Ｎは
正の整数）段の演算処理を行う場合に、ＤＥＳ演算回路
２１０、２２０は、それぞれＭ段分の演算処理、Ｎ段分
の演算処理を行うことができる。なおＳＤＥＳによる１
６段分の処理を行う場合は、パイプライン動作により高
速処理を行うため８段ずつ（Ｍ＝Ｎ＝８）行うことが望
ましい。暗号装置２００では、８段ずつ行うものとして
説明する。

【０１４６】ＤＥＳ演算回路２１０には、プロローグ回
路２３０が接続されている。ＤＥＳ演算回路２１０は、
プロローグ回路２３０からの出力に基づいて、図２に示
すＳＤＥＳの第１段〜第８段の各段の処理を行い、中間
変換データを出力する。プロローグ回路２３０には、入
力ラッチ回路２４０が接続されている。入力ラッチ回路
２４０には、データブロック単位に入力データがラッチ
される。プロローグ回路２３０は、入力ラッチ回路２４
０に入力された６４ビットのデータに対して初期転置処
理を行うことができる。或いはプロローグ回路は、入力
ラッチ回路２４０に入力された６４ビットのデータと、
ＤＥＳ演算回路２１０によって生成された中間変換デー
タ等との排他的論理和演算結果に対して、初期転置処理
を行うことができる。

【０１４７】ＤＥＳ演算回路２２０には、エピローグ回
路２５０が接続されている。ＤＥＳ演算回路２２０は、
ＤＥＳ演算回路２１０で生成された中間変換データに基
づいて、図２に示すＳＤＥＳの第９段〜第１６段の各段
の処理を行い、変換データ（最終変換データ）を出力す
る。エピローグ回路２５０は、ＤＥＳ演算回路２２０に
よって生成された変換データに対して最終転置処理を行
うことができる。或いはエピローグ回路２５０は、ＤＥ
Ｓ演算回路２２０によって生成された変換データに対し
て、ＤＥＳ演算回路２１０により生成された中間変換デ
ータ等と排他的論理和演算を行うことができる。

【０１４８】暗号装置２００は、ＤＥＳ演算回路２１
０、２２０に対して、ＳＤＥＳの各段の鍵を出力する第
１及び第２の鍵出力回路２６０、２７０を含む。ここ
で、鍵出力回路は２つでなくてもよく、ＤＥＳ演算回路
と同数でなくてもよい。

【０１４９】暗号処理を行う場合、第１の鍵出力回路２
６０は、ＤＥＳ演算回路２１０で処理される段数に応じ
て、図２に示すＳＤＥＳの第１段〜第８段の各段の鍵Ｋ
₁〜Ｋ₈を出力する。第２の鍵出力回路２７０は、ＤＥＳ
演算回路２２０で処理される段数に応じて、図２に示す
ＳＤＥＳの第９段〜第１６段の各段の鍵Ｋ₉〜Ｋ₁₆を出
力する。

【０１５０】復号処理を行う場合、第１の鍵出力回路２
６０は、ＤＥＳ演算回路２２０に対してＳＤＥＳの第１
段〜第８段の各段の鍵Ｋ₁〜Ｋ₈を、暗号処理とは逆順に
出力する。第２の鍵出力回路２７０は、ＤＥＳ演算回路
２１０に対してＳＤＥＳの第９段〜第１６段の各段の鍵
Ｋ₉〜Ｋ₁₆を、暗号処理とは逆順に出力する。

【０１５１】第１及び第２の鍵出力回路２６０、２７０
がそれぞれ出力する鍵Ｋ₁〜Ｋ₁₆は、鍵セット選択回路
２８０から供給される。

【０１５２】鍵セット選択回路２８０は、ＴＤＥＳ鍵ボ
ックス２８２と、ＳＤＥＳ鍵ボックス２８４とを含む。
ＴＤＥＳ鍵ボックス２８２は、上述した鍵生成処理によ
り予め生成されたＴＤＥＳの鍵を複数セット保持する。
ＴＤＥＳの鍵は、ループさせる回数分のＳＤＥＳの鍵を
有する。ＳＤＥＳの鍵は、１６段分の鍵を有する。ＳＤ
ＥＳ鍵ボックス２８４は、上述した鍵生成処理により予
め生成されたＳＤＥＳの鍵を複数セット保持する。

【０１５３】ＴＤＥＳによる暗号処理又は復号処理を行
う場合、鍵セット選択回路２８０は、ＴＤＥＳ鍵ボック
ス２８２に保持された複数セットのＴＤＥＳの鍵セット
の中から１セットを選択し、ＳＤＥＳのループ回数に応
じた１６段分の鍵を、第１及び第２の鍵出力回路２６
０、２７０に出力する。

【０１５４】暗号装置２００の各部は、制御回路２９０
によって制御が行われる。制御回路２９０は、入力され
た各種制御信号により、上述した構成の暗号装置２００
において、暗号処理と復号処理の切り替え制御、ＣＢＣ
モードの制御、或いはＳＤＥＳとＴＤＥＳの切り替え制
御を行うことができるようになっている。

【０１５５】このような構成の暗号装置２００において
は、ＤＥＳ演算回路２１０、２２０、プロローグ回路２
３０及びエピローグ回路２５０が、図１６に示す暗号処
理回路１１０に相当する。また、鍵セット選択回路２８
０が、鍵記憶回路１２０及び鍵選択回路１３０に相当す
る。また図２１では、図１６に示す識別情報レジスタ１
３２及びデータ制御回路１４０、図１８に示すデータ制
御回路１８２及びカウンタ回路１８４は、暗号装置２０
０には含まれていない。しかしながら、例えばこれらか
ら生成された鍵選択信号が供給されるように構成するよ
うにしてもよい。

【０１５６】図２１において、ｘＲＳＴ信号は、リセッ
ト信号である。ｘＲＳＴ信号がアクティブになると、暗
号装置２００を構成する各部の状態が初期状態になる。

【０１５７】ｘＣＬＲ信号は、クリア信号である。ｘＣ
ＬＲ信号がアクティブになると、例えばＤＥＳ演算回路
２１０、２２０のレジスタの状態がリセットされる。

【０１５８】ＤＥＳ＿ＷＡＩＴ信号は、ウェイト信号で
ある。ＤＥＳ＿ＷＡＩＴ信号がアクティブになると、Ｄ
ＥＳ演算回路２１０、２２０の処理が中断する。ＤＥＳ
＿ＷＡＩＴ信号は、例えばエピローグ回路２５０の出力
をラッチするＦＩＦＯの状態に応じて生成される。

【０１５９】ＥＸ＿ＯＲ信号は、ＣＢＣモード制御信号
である。ＥＸ＿ＯＲ信号がアクティブになると、ＣＢＣ
モードにより暗号処理及び復号処理が行われる。そのた
めプロローグ回路２３０は、ＥＸ＿ＯＲ信号に応じて、
ＣＢＣモードで生成された演算データ又は入力ラッチ回
路２４０からの入力データを、ＤＥＳ演算回路２１０に
出力することができるようになっている。またエピロー
グ回路２５０は、ＥＸ＿ＯＲ信号に応じてＣＢＣモード
で生成された演算データ又はＤＥＳ演算回路２２０から
の出力データを出力する。

【０１６０】なおＣＢＣモードにおいて、初期化状態の
ときには、プロローグ回路２３０は初期化ベクタＩＶ
（初期化ベクタ）を用いて入力データとの間で排他的論
理和演算を行って、入力データの値がそのまま暗号処理
又は復号処理が行われないようにしている。同様に、初
期化状態のときには、エピローグ回路２５０は初期化ベ
クタＩＶ（初期化ベクタ）を用いてＤＥＳ演算回路２２
０の出力データとの間で排他的論理和演算を行う。

【０１６１】ＥＮ＿ｘＤＥ信号は、暗号−復号切替信号
である。ＥＮ＿ｘＤＥ信号がアクティブになると、プロ
ローグ回路２３０、ＤＥＳ演算回路２１０、２２０、エ
ピローグ回路２５０において、図２に示す暗号処理の各
処理が行われる。また第１及び第２の鍵出力回路２６
０、２７０は、暗号処理の順序で各段の鍵を出力する。

【０１６２】ＴＲＩＰＬＥ信号は、ＳＤＥＳ−ＴＤＥＳ
切替信号である。ＴＲＩＰＬＥ信号がアクティブになる
と、ＴＤＥＳの暗号処理又は復号処理が行われる。ＴＲ
ＩＰＬＥ信号は、例えば暗号処理又は復号処理の対象と
なるデータを保存するハードディスク装置のセクタ番号
に基づいて切り替えることができる。この場合、セクタ
によってＳＤＥＳにより暗号化されたデータとＴＤＥＳ
により暗号化されたデータとを混在させることができ、
鍵の解読をより困難にし、機密性を大幅に高めることが
できる。

【０１６３】ＴＲＩ＿ＣＯＵＮＴ信号は、ＴＤＥＳのル
ープカウント信号である。ＴＲＩ＿ＣＯＵＮＴ信号によ
り、ＴＤＥＳによるＳＤＥＳのループ回数が指定され
る。ＴＲＩ＿ＣＯＵＮＴ信号に応じて、鍵セット選択回
路２８０は保持されている複数セットの鍵から、１セッ
トを選択する。このようなＴＲＩ＿ＣＯＵＮＴ信号は、
制御回路２９０において生成される。

【０１６４】ＫＥＹ＿ＮＵＭＢＥＲ信号は、ＳＤＥＳの
段数カウント信号である。ＫＥＹ＿ＮＵＭＢＥＲ信号に
より、ＳＤＥＳの段数が指定され、各段に対応した鍵が
選択される。

【０１６５】ＫＥＹ＿ＳＥＬ信号は、鍵選択信号であ
る。ＫＥＹ＿ＳＥＬ信号により、鍵セット選択回路２８
０に予めＴＤＥＳ鍵ボックス２８２又はＳＤＥＳ鍵ボッ
クス２８４に記憶された複数セットの鍵の中から１セッ
トが選択される。

【０１６６】４．４．２動作の概要次に、本実施形態における暗号装置２００の動作の概要
を説明する。

【０１６７】図２２に、暗号装置２００におけるＳＤＥ
Ｓの暗号処理の流れを模式的に示す。ただし図２１に示
す暗号装置２００と同一部分には同一符号を付し、適宜
説明を省略する。

【０１６８】この場合、ＤＥＳ演算回路２１０は、第ｎ
のデータブロックに対して図２に示すＳＤＥＳの第１段
の処理を行う。この処理結果は７回ループされ、ＤＥＳ
演算回路２１０は、ＳＤＥＳの第１段〜第８段の処理を
行う。このとき第１の鍵出力回路２６０は、ＫＥＹ＿Ｎ
ＵＭＢＥＲ信号に応じて、各段に対応した鍵を供給す
る。その結果、ＤＥＳ演算回路２１０は、ＳＤＥＳの第
８段までの結果を、第ｎの中間変換データとして出力す
る。

【０１６９】ＤＥＳ演算回路２２０は、第ｎの中間変換
データに対して、図２に示すＳＤＥＳの第９段の処理を
行う。この処理結果は７回ループされ、ＤＥＳ演算回路
２２０は、ＳＤＥＳの第９段〜第１６段の処理を行う。
このとき第２の鍵出力回路２７０は、ＫＥＹ＿ＮＵＭＢ
ＥＲ信号に応じて、各段に対応した鍵を供給する。その
結果、ＤＥＳ演算回路２２０は、ＳＤＥＳの第１６段ま
での結果を、第ｎの変換データとして出力する。

【０１７０】プロローグ回路２３０は、ＤＥＳ演算回路
２１０に、第（ｎ−１）の中間変換データと第ｎのデー
タブロックの入力データとに基づいて第ｎの中間変換デ
ータを生成させる。

【０１７１】より具体的には、プロローグ回路２３０
は、第ｎのデータブロックの入力データに対して初期転
置処理を行った演算データを、ＤＥＳ演算回路２１０に
対して出力する。ここで転置処理の対象となるのは、Ｓ
ＤＥＳのＣＢＣモード（所与の第１のモード）ではない
場合は入力ラッチ回路２４０の入力データであり、ＳＤ
ＥＳのＣＢＣモード（所与の第１のモード）の場合は該
入力データと１つ前のデータブロックの第（ｎ−１）の
中間変換データとの排他的論理和演算結果である。なお
ＣＢＣモードにおいて、入力データは、初期化時では初
期化ベクタＩＶとの間の排他的論理和演算結果に対して
転置処理が行われる。

【０１７２】エピローグ回路２５０は、ＤＥＳ演算回路
２２０から出力された第ｎの変換データに対して、プロ
ローグ回路２３０で行われた初期転置処理に対応した最
終転置処理を行う。

【０１７３】このような本実施形態における暗号装置２
００は、（Ｍ＋Ｎ）（Ｍ＝Ｎ＝８）段の処理により変換
データを生成するために、ＤＥＳ演算回路２１０、２２
０によるパイプライン動作を行う。

【０１７４】図２３に、パイプライン動作について説明
するための図を示す。

【０１７５】入力データがブロック単位に分割され、第
１のデータブロックから順に暗号処理が行われるものと
する。この場合、第１のタイミングでは、ＤＥＳ演算回
路２１０は、第ｎのデータブロックについて第ｎの中間
変換データを生成し、ＤＥＳ演算回路２２０は、１つ前
のデータブロックである第（ｎ−１）の中間変換データ
に基づいて第（ｎ−１）の変換データを生成する。そし
て、次の第１のタイミングの次の第２のタイミングで
は、ＤＥＳ演算回路２１０は第ｎのデータブロックの次
のブロックである第（ｎ＋１）のデータブロックについ
て第（ｎ＋１）の中間変換データを生成し、ＤＥＳ演算
回路２２０は第１のタイミングでＤＥＳ演算回路２１０
により生成された第ｎの中間変換データに基づいて第ｎ
の変換データを生成する。

【０１７６】このようなパイプライン動作により、第１
及び第２のタイミングを所与のクロックの１周期とする
と、１クロックごとにＳＤＥＳにより暗号化された変換
データを生成することができる。したがって、回路規模
の縮小化と、処理の高速化とを図ることができる。

【０１７７】またＣＢＣモードでは、ＳＤＥＳの第１６
段の処理結果を次のデータブロックの入力に反映させる
と、ＤＥＳ演算回路２１０の処理速度の低下を招く。そ
のため、ＳＤＥＳの第８段の処理結果（第（ｎ−１）の
中間変換データ）を用いることで、鍵の機密性を高める
と共に処理速度の低下を防止することができる。

【０１７８】図２４に、暗号装置２００におけるＳＤＥ
Ｓの復号処理の流れを模式的に示す。ただし図２２に示
す暗号装置２００と同一部分には同一符号を付し、適宜
説明を省略する。

【０１７９】この場合、ＤＥＳ演算回路２１０は、第ｎ
のデータブロックに対して図２に示すＳＤＥＳの第１段
の処理を行う。この処理結果は７回ループされ、ＤＥＳ
演算回路２１０は、ＳＤＥＳの第１段〜第８段の処理を
行う。このとき第２の鍵出力回路２７０が、ＫＥＹ＿Ｎ
ＵＭＢＥＲ信号に応じて、暗号処理とは逆順に各段に対
応した鍵を供給する。その結果、ＤＥＳ演算回路２１０
は、ＳＤＥＳの第８段までの結果を、第ｎの中間変換デ
ータとして出力する。

【０１８０】ＤＥＳ演算回路２２０は、第ｎの中間変換
データに対して、図２に示すＳＤＥＳの第９段の処理を
行う。この処理結果は７回ループされ、ＤＥＳ演算回路
２２０は、ＳＤＥＳの第９段〜第１６段の処理を行う。
このとき、第１の鍵出力回路２６０は、ＫＥＹ＿ＮＵＭ
ＢＥＲ信号に応じて、暗号処理とは逆順に各段に対応し
た鍵を供給する。その結果、ＤＥＳ演算回路２２０は、
ＳＤＥＳの第１６段までの結果を、第ｎの変換データと
して出力する。

【０１８１】プロローグ回路２３０は、入力ラッチ回路
２４０から入力された第ｎのデータブロックの入力デー
タに対して初期転置処理を行った演算データを、ＤＥＳ
演算回路２１０に対して出力する。

【０１８２】エピローグ回路２５０は、第ｎの変換デー
タと、１つ前のデータブロックの第（ｎ−１）の中間変
換データとに基づいて生成された演算データを復号化さ
れた信号として出力させる。

【０１８３】より具体的には、エピローグ回路２５０
は、ＤＥＳ演算回路２２０から出力された第ｎの変換デ
ータに対して、プロローグ回路２３０で行われた初期転
置処理に対応した最終転置処理を行う。ここで最終転置
処理が行われたデータは、ＳＤＥＳのＣＢＣモード（所
与の第１のモード）ではない場合はそのまま変換データ
として出力され、ＳＤＥＳのＣＢＣモード（所与の第１
のモード）の場合は１つ前のデータブロックの第（ｎ−
１）の中間変換データとの間で排他的論理和演算が行わ
れて変換データとして出力される。なおＣＢＣモードに
おいて、転置処理が行われたデータは、初期化時には初
期化ベクタＩＶとの間で排他的論理和演算が行われる。

【０１８４】なお、この場合においても図２３に示すよ
うなパイプライン動作により、復号処理を行うことがで
きる。

【０１８５】図２５に、暗号装置２００におけるＴＤＥ
Ｓの暗号処理の流れを模式的に示す。ただし図２４に示
す暗号装置２００と同一部分には同一符号を付し、適宜
説明を省略する。

【０１８６】プロローグ回路２３０は、第ｎのデータブ
ロックに対して初期転置処理を行った演算データを、Ｄ
ＥＳ演算回路２１０に対して出力する。このとき、次の
データブロックの第（ｎ＋１）のデータブロックについ
て出力するのに先立って、エピローグ回路２５０から出
力された演算結果を用いて２回ループさせる。なおＴＤ
ＥＳのＣＢＣモード（所与の第２のモード）の場合は、
第ｎのデータブロックについてのＳＤＥＳの１回目の入
力のときに、１つ前の第（ｎ−１）のデータブロックに
ついての演算結果との間で行われた排他的論理和演算結
果が転置処理対象となる。なお、ＴＤＥＳのＣＢＣモー
ドにおいても、初期時には初期化ベクタＩＶが適用され
る。

【０１８７】エピローグ回路２５０は、ＤＥＳ演算回路
２２０から出力された第ｎの変換データに対して、プロ
ローグ回路２３０で行われた初期転置処理に対応した最
終転置処理を行う。

【０１８８】図２６に、暗号装置２００におけるＴＤＥ
Ｓの復号処理の流れを模式的に示す。ただし図２５に示
す暗号装置２００と同一部分には同一符号を付し、適宜
説明を省略する。

【０１８９】プロローグ回路２３０は、第ｎのデータブ
ロックに対して初期転置を行った演算データをＤＥＳ演
算回路２１０に対して出力する。このとき、次の第（ｎ
＋１）のデータブロックについて出力するのに先立っ
て、エピローグ回路２５０から出力された演算結果を用
いて２回ループさせる。

【０１９０】エピローグ回路２５０は、ＤＥＳ演算回路
２２０から出力された第ｎの変換データに対して、プロ
ローグ回路２３０で行われた初期転置処理に対応した最
終転置処理を行う。転置処理が行われたデータは、ＳＤ
ＥＳの３回目のループの出力の場合には、変換データと
して出力される。その際、ＴＤＥＳのＣＢＣモード（所
与の第２のモード）ではない場合はそのまま変換データ
として出力され、ＴＤＥＳのＣＢＣモード（所与の第２
のモード）の場合は１つ前のデータブロックの第（ｎ−
１）のデータブロックの入力データとの間で排他的論理
和演算が行われて出力される。なおＣＢＣモードにおい
て、転置処理が行われたデータは、初期化時には初期化
ベクタＩＶとの間で排他的論理和演算が行われる。

【０１９１】このようにＳＤＥＳの処理回路を流用して
ＴＤＥＳによる暗号処理及び復号処理を行うことがで
き、回路規模の増大を回避することができる。

【０１９２】なお、ＤＥＳ演算回路（暗号処理回路）を
３段以上の構成で、ＳＤＥＳの暗号処理又は復号処理を
行うように構成しても、同様にＳＤＥＳの処理回路を流
用してＴＤＥＳによる暗号処理及び復号処理を行うこと
ができる。

【０１９３】例えば図２７（Ａ）に示す第１〜第３の暗
号処理回路により、ＳＤＥＳのＣＢＣモードの暗号処理
を行う場合、図２７（Ｂ）に示すようなパイプライン動
作で変換データが生成される。また例えば図２８（Ａ）
に示す第１〜第３の暗号処理回路により、ＳＤＥＳのＣ
ＢＣモードの復号処理を行う場合には、図２８（Ｂ）に
示すようなパイプライン動作で、暗号処理されたデータ
を復号することができる。

【０１９４】また例えば図２９（Ａ）に示す第１〜第４
の暗号処理回路により、ＳＤＥＳのＣＢＣモードの暗号
処理を行う場合、図２９（Ｂ）に示すようなパイプライ
ン動作で変換データが生成される。また例えば図３０
（Ａ）に示す第１〜第４の暗号処理回路により、ＳＤＥ
ＳのＣＢＣモードの復号処理を行う場合には、図３０
（Ｂ）に示すようなパイプライン動作で、暗号処理され
たデータを復号することができる。

【０１９５】このような複数の暗号処理回路をパイプラ
イン動作により高速処理を行うＳＤＥＳの処理回路を上
述のように３回繰り返すことで、ＴＤＥＳによる暗号処
理及び復号処理を行うことができ、回路規模の増大を回
避することができる。

【０１９６】４．４．３回路動作フローの一例図３１に、本実施形態における暗号装置２００の回路動
作フローの一例を示す。

【０１９７】ここでは暗号処理及び復号処理の対象とな
るデータが、ハードディスク装置に記憶され、アクセス
するデータブロックのカウント数に応じて、ＴＤＥＳ又
はＳＤＥＳかを切り替えることができる場合について説
明する。

【０１９８】制御回路２９０では、入力ラッチ回路２４
０から入力データを入力させると、アクセスするデータ
ブロックのカウント数を管理するデータブロックカウン
ト値ｄａｔａ＿ｃｎｔがインクリメントされる（ステッ
プＳ４００）。そして、インクリメントされたデータブ
ロックカウント値ｄａｔａ＿ｃｎｔに応じて、ＤＥＳ演
算回路２１０、２２０などが制御される（ステップＳ４
０１）。より具体的には、データブロックカウント値ｄ
ａｔａ＿ｃｎｔが所与のエンド値ＥＮＤのとき、データ
ブロックカウント値ｄａｔａ＿ｃｎｔは「０」にリセッ
トされる。またデータブロックカウント値ｄａｔａ＿ｃ
ｎｔが、ＴＤＥＳの開始データブロック値と一致したと
き、ＴＲＩＰＬＥ信号をアクティブにする。更に、デー
タブロックカウント値ｄａｔａ＿ｃｎｔが、ＴＤＥＳの
終了データブロック値と一致したときには、ＴＩＲＰＬ
Ｅ信号をインアクティブにする。

【０１９９】次に、制御回路２９０は、ＴＲＩ＿ＣＯＵ
ＮＴ信号を「０」に設定し（ステップＳ４０２）、ＫＥ
Ｙ＿ＮＵＭＢＥＲ信号を「０」に設定する（ステップＳ
４０３）。ＴＲＩ＿ＣＯＵＮＴ信号を「０」に設定した
場合、ＴＤＥＳの処理においてＳＤＥＳの１回目の処理
であることを示す。またＫＥＹ＿ＮＵＭＢＥＲ信号を
「０」に設定した場合、ＳＤＥＳの第１段の処理である
ことを示す。

【０２００】その後、ＫＥＹ＿ＮＵＭＢＥＲ信号により
示される段数に応じて、ＤＥＳ演算回路２１０又はＤＥ
Ｓ演算回路２２０により、ＳＤＥＳの１段分の処理が行
われる（ステップＳ４０４）。

【０２０１】ＳＤＥＳの１段分の処理が終了すると、Ｋ
ＥＹ＿ＮＵＭＢＥＲ信号が「１６」になっているか否か
を検出し、「１６」になっていないとき（ステップＳ４
０５：Ｎ）、ＫＥＹ＿ＮＵＭＢＥＲ信号により指定され
るＳＤＥＳの段数をインクリメントし（ステップＳ４０
６）、再びステップＳ４０４のＤＥＳ演算を行う。一
方、ＫＥＹ＿ＮＵＭＢＥＲ信号が「１６」のとき（ステ
ップＳ４０５：Ｙ）、ＴＲＩＰＬＥ信号が「０」で、か
つＴＲＩ＿ＣＯＵＮＴ信号が「２」であるか否かを検出
する。そして、ＴＲＩＰＬＥ信号が「０」で、かつＴＲ
Ｉ＿ＣＯＵＮＴ信号が「２」ではないとき（ステップＳ
４０７：Ｎ）、ＴＲＩ＿ＣＯＵＮＴ信号で示されるＳＤ
ＥＳのループ回数をインクリメントし（ステップＳ４０
８）、再びステップＳ４０３に戻って、次のループのＳ
ＤＥＳの処理を開始する。また、ＴＲＩＰＬＥ信号が
「０」で、かつＴＲＩ＿ＣＯＵＮＴ信号が「２」である
とき（ステップＳ４０７：Ｙ）、ＴＤＥＳの処理が終了
したと判断して、ＤＥＳ演算回路２２０の処理結果を用
いて変換データを出力する。

【０２０２】このような暗号処理（復号処理）に対して
鍵を供給する鍵選択処理においては、鍵セット選択回路
２８０により、鍵選択信号ＫＥＹ＿ＳＥＬに基づいて鍵
セットが選択される（ステップＳ４５０）。

【０２０３】より具体的には、ＴＲＩＰＬＥ信号がアク
ティブのとき、鍵選択信号ＫＥＹ＿ＳＥＬとＴＲＩ＿Ｃ
ＯＵＮＴ信号とに基づいて、関数Ｆｕｎｃｔｉｏｎ＿Ｔ
により、鍵選択値ｋｓを求める。ＴＲＩＰＬＥ信号がイ
ンアクティブのとき、鍵選択信号ＫＥＹ＿ＳＥＬに基づ
いて、関数Ｆｕｎｃｔｉｏｎ＿Ｓにより鍵選択値ｋｓを
求める。関数Ｆｕｎｃｔｉｏｎ＿Ｓは、例えば鍵選択信
号ＫＥＹ＿ＳＥＬを、所与のビット操作により鍵選択値
ｋｓを出力する。

【０２０４】そして、関数Ｆｕｎｃｔｉｏｎ＿Ｒによ
り、鍵選択値ｋｓに対応する鍵セットを選択する（ステ
ップＳ４５１）。ＴＤＥＳの場合は、ＴＤＥＳ鍵ボック
ス２８２に保持された複数の鍵セットの中から選択され
る。ＳＤＥＳの場合は、ＳＤＥＳ鍵ボックス２８４に保
持された複数の鍵セットの中から選択される。

【０２０５】このようにして鍵セット選択回路２８０に
よって選択された鍵セットの中から、ＫＥＹ＿ＮＵＭＢ
ＥＲ信号により示されるＳＤＥＳの処理段数に応じた鍵
ＫＥＹが供給される（ステップＳ４５２）。

【０２０６】５．データ転送制御装置図３２に、本実施形態におけるインタフェースＩＣの構
成の概要を示す。

【０２０７】本実施形態におけるインタフェースＩＣ８
００は、ＤＥＳ処理回路８１０と、メモリ８１２と、イ
ンタフェース回路８１４と、鍵セット選択回路８２０と
を含む。ＤＥＳ処理回路８１０は、上述した暗号装置２
００と同等の機能を有する。鍵セット選択回路８２０
は、上述した暗号装置２００の鍵セット選択回路２８０
と同等の機能を有する。インタフェースＩＣ８００は、
外部のハードディスク装置８３０へのアクセスデータの
制御を行う。より具体的には、インタフェースＩＣ８０
０は、メモリ８１２に書き込まれたデジタルデータにつ
いてＳＤＥＳ又はＴＤＥＳによる暗号処理を行って、イ
ンタフェース回路８１４を介し、ハードディスク装置８
３０へのデジタルデータの書き込みを行う。またインタ
フェースＩＣ８００は、インタフェース回路８１４を介
しハードディスク装置８３０から読み出された保存デー
タを、ＳＤＥＳ又はＴＤＥＳによる復号処理を行ってデ
ジタルデータに復号化し、メモリ８１２にバッファリン
グする。

【０２０８】このようにハードディスク装置等の大容量
記憶媒体にアクセスするためのインタフェースＩＣに上
述した暗号装置２００を適用させることで、大容量のア
クセスデータについても、高い機密性を維持したまま高
速なアクセス処理を行わせることができる。

【０２０９】なおインタフェース回路８１４に、図１６
に示したデータ制御回路１４０又は図１８に示したデー
タ制御回路１８２を含めることができる。

【０２１０】図３３に、本実施形態におけるインタフェ
ースＩＣの構成例を示す。

【０２１１】インタフェースＩＣ８００は、汎用シリア
ルバスとしてのＩＥＥＥ１３９４シリアルバスを介して
転送されるデータのＩＤＥ（Integrated Device Electr
onics）ストレージ８５０に対するアクセス制御を行
う。ＩＥＥＥ１３９４シリアルバス上では、アイソクロ
ナス（Isochronous）転送又はアシンクロナス（Asynchr
onous）転送が行われる。アイソクロナス転送が行われ
るアイソクロナスデータは、例えばリアルタイム性が要
求される画像データである。アシンクロナス転送が行わ
れるアシンクロナスデータは、例えばコマンドデータで
ある。

【０２１２】ＩＥＥＥ１３９４シリアルバスを介して受
信されたデータは、ＩＥＥＥ１３９４物理層回路８６２
及びＩＥＥＥ１３９４リンク層回路８６４を介し、第１
のＤＭＡＣ（Direct Memory Access Controller）８６
６に入力される。第１のＤＭＡＣ８６６は、ＤＴＣＰ処
理回路８６８において、ＩＥＥＥ１３９４の暗号化規格
であるＤＴＣＰ（Digital Transmission Content Prote
ction）により復号化し、パケットメモリインタフェー
ス８７０を介してＳＲＡＭ（Static Random Access Mem
ory）で構成されたパケットメモリ８７２に転送する。
パケットメモリ８７２では、アイソクロナスデータとア
シンクロナスデータの記憶領域が区分され、更にそれぞ
れのデータについて送信データ領域と受信データ領域と
を有している。パケットメモリインタフェース８７０
は、格納するデータを仕分けして、対応する記憶領域に
格納する。

【０２１３】パケットメモリ８７２に記憶されたデータ
は、パケットメモリインタフェース８７０を介して、第
２のＤＭＡＣ８７４により読み出される。第２のＤＭＡ
Ｃ８７４は、ＤＥＳ処理回路８７６でＳＤＥＳ又はＴＤ
ＥＳにより暗号化する。ＤＥＳ処理回路８７６は、本実
施形態における暗号装置を採用することができ、例えば
ＩＤＥストレージ８５０に書き込む際のセクタ番号に応
じて、ＳＤＥＳ又はＴＤＥＳで暗号化する。なお暗号化
するデータは、パケットメモリ８７２のアイソクロナス
受信データ領域に記憶されるアイソクロナス受信データ
のみである。

【０２１４】インタフェースＩＣ８００の外部には、Ｓ
ＤＲＡＭ（Synchronous DRAM）により構成されたキャッ
シュメモリ８８０が接続されている。第２のＤＭＡＣ８
７４は、ＤＥＳ処理回路８７６により暗号化したデータ
を、キャッシュメモリインタフェース８７８を介して、
キャッシュメモリ８８０に格納する。これにより、アイ
ソクロナス受信データの機密性を維持することができ
る。

【０２１５】一方、同様にしてパケットメモリ８７２の
アシンクロナス受信データ領域に入っているアシンクロ
ナス受信データは、図示しないホスト（例えばＣＰＵ）
によりデコードされ、コマンドの解析が行われる。

【０２１６】キャッシュメモリ８８０は、送信データ記
憶領域と受信データ記憶領域とを有しており、第２のＤ
ＭＡＣ８８４により暗号化されたアイソクロナス受信デ
ータは受信データ記憶領域に書き込まれる。

【０２１７】その後、第３のＤＭＡＣ８８２が、キャッ
シュメモリ８８０からアイソクロナス受信データを読み
出し、ＩＤＥインタフェース８８４を介してＩＤＥスト
レージ８５０に書き込む。

【０２１８】このようにキャッシュメモリ８８０を設け
ることで、アイソクロナスデータをバッファリングする
ことができるので、ＩＤＥストレージ８５０のアクセス
時間があった場合でも、所定の転送レートで転送される
データの連続性を保証することができる。

【０２１９】これに対して、ＩＥＥＥ１３９４シリアル
バスを介して送信する場合、まず第３のＤＭＡＣ８８２
により、ＩＤＥストレージ８５０からデータが読み出さ
れる。ＩＤＥストレージ８５０から読み出されたデータ
は、ＳＤＥＳ又はＴＤＥＳにより暗号化されており、キ
ャッシュメモリインタフェース８７８を介して、キャッ
シュメモリ８８０の送信データ領域に格納される。第２
のＤＭＡＣ８７４は、キャッシュメモリ８８０の送信デ
ータ領域に記憶されたデータを読み出し、ＤＥＳ処理回
路８７６で復号化して、パケットメモリ８７２のアイソ
クロナス送信データ領域に格納する。第１のＤＭＡＣ８
６６は、パケットメモリ８７２のアイソクロナス送信デ
ータ領域に記憶されたアイソクロナスデータを読み出
す。読み出されたアイソクロナスデータは、ＤＴＣＰ処
理回路８６８によりＤＴＣＰによる暗号化が行われ、ア
イソクロナスヘッダを付加してＩＥＥＥ１３９４シリア
ルバスに出力される。

【０２２０】メモリポインタ管理回路８８６は、第１及
び第２のＤＭＡＣ８６６、８７４の制御を行う。より具
体的には、第１及び第２のＤＭＡＣ８６６、８７４がそ
れぞれ読み出し用ポインタ及び書き込み用ポインタを有
しており、メモリポインタ管理回路８８６は、両ポイン
タを管理して第１及び第２のＤＭＡＣ８６６、８７４の
動作制御を行う。

【０２２１】このような構成のインタフェースＩＣ８０
０は、システムコントローラ８８８により制御される。

【０２２２】なおインタフェースＩＣ８００のＤＥＳ処
理回路８７６では、ＩＤＥストレージ８５０のセクタの
番号に基づいて（広義には、記憶装置のアクセス単位の
記憶位置情報に基づいて）、鍵選択信号を生成すること
で、鍵の特定を困難にすることができる。

【０２２３】６．その他上述の実施形態では、暗号方式としてＳＤＥＳ又はＴＤ
ＥＳを採用した場合について説明したが、これらに限定
されるものではない。例えば暗号方式は、ＡＥＳ（Adva
nced Encryption Standard）であってもよい。ＡＥＳ
は、ＤＥＳの後継共通鍵暗号化方式である。

【０２２４】図３４に、ＡＥＳの暗号処理を行う暗号装
置の機能ブロック図の一例を示す。

【０２２５】入力データ長は、１２８ビット、１９２ビ
ット或いは２５６ビットがサポートされる。入力データ
は、まずＢＹＴＥ＿ＳＵＢ部９００に入力される。ＢＹ
ＴＥ＿ＳＵＢ部９００は、ＳＢＯＸを利用して８ビット
ワード単位でビット変換を行う。ＢＹＴＥ＿ＳＵＢ部９
００でビット変換されたデータは、ＳＨＩＦＴＲＯＷ部
９０２に入力される。ＳＨＩＦＴＲＯＷ部９０２は、
「ＡＢＣＤ」というデータを「ＤＡＢＣ」というデータ
に変換するように、８ビットワード単位でローテンショ
ンを行う。ローテンションされたデータは、ＭＩＸＣＯ
Ｌ部９０４に入力される。ＭＩＸＣＯＬ部９０４は、８
ビットワード単位で乗算を行う。ＡＤＤＫＥＹ部９０６
は、ＭＩＸＣＯＬ部９０４から出力されたデータと共通
秘密鍵を用いて生成された鍵との排他的論理和演算を行
う。

【０２２６】以上の処理を１段分行い、入力データ長と
鍵長に応じて決まる段数分だけ、再びＢＹＴＥ＿ＳＵＢ
部９００に戻る。なお、最終段では、ＭＩＸＣＯＬ部９
０４の処理は省略される。

【０２２７】一方、共通秘密鍵は、ＫＥＹ＿ＥＸＰＡＮ
ＳＩＯＮ部９０８に入力され、各段の鍵が生成される。
この各段の鍵が、ＡＤＤＫＥＹ部９０６に供給される。

【０２２８】このようなＡＥＳについても、上述した実
施形態と同様に、入力データに対して暗号処理を行う少
なくとも２つの演算回路を設け、それぞれ所与の段数分
だけループさせて、これらをパイプライン動作させるこ
とができる。なお、この場合も、共通秘密鍵から鍵を生
成しておき、段数に応じて上述の演算回路に順次供給さ
せることができる。また同様に、予め複数の鍵セットを
用意しておき、上述したようにして生成された鍵選択信
号を用いて、１セットの鍵を選択するように構成するこ
とができる。

【０２２９】なお、上述した実施の形態は主に暗号処理
について説明したが、これに限定されるものではなく、
復号処理についても同様に適用することが可能である。

【０２３０】なお、本発明は上述した実施の形態に限定
されるものではなく、本発明の要旨の範囲内で種々の変
形実施が可能である。例えば、演算回路を３段以上設け
るようにしてもよい。

【０２３１】また上述した実施の形態では、ＳＤＥＳを
３回ループさせるＴＤＥＳについて説明したが、適用す
る鍵を適宜切り替えてＳＤＥＳを２回ループ又は４回以
上ループさせるようにしてもよい。

【０２３２】さらにまた上述のデータ転送制御装置は、
ＩＥＥＥ１３９４規格のシリアルバスのインタフェース
を例に説明したが、これに限定されるものではない。例
えばＵＳＢ（ＵＳＢ１．１、ＵＳＢ２．０など）規格の
シリアルバスのインタフェースにも適用することができ
る。

【図面の簡単な説明】

【図１】ＳＤＥＳによる暗号処理を行う暗号装置の機能
ブロック図である。

【図２】暗号処理部の処理フロー図である。

【図３】初期転置について説明するための図である。

【図４】非線形変換の機能ブロック図である。

【図５】拡大転置について説明するための図である。

【図６】ＳＢＯＸにおいて行われる圧縮換字変換につい
て説明するための図である。

【図７】非線形変換において行われる転置について説明
するための図である。

【図８】最終転置について説明するための図である。

【図９】鍵生成処理部の処理フロー図である。

【図１０】選択転置について説明するための図である。

【図１１】巡回シフト数について説明するための図であ
る。

【図１２】圧縮転置について説明するための図である。

【図１３】ＳＤＥＳによる復号処理を行う復号装置の機
能ブロック図である。

【図１４】ＣＢＣモードの暗号処理と復号処理の機能ブ
ロック図である。

【図１５】ＴＤＥＳの処理フローの概要を示す機能ブロ
ック図である。

【図１６】本実施形態における暗号装置の構成の一例を
示すブロック図である。

【図１７】図１７（Ａ）、（Ｂ）は、データブロックの
カウント数に基づく鍵選択信号の生成例を説明するため
の説明図である。

【図１８】本実施形態においてセクタ番号に基づいて鍵
選択を行う暗号装置の構成の一例を示すブロック図であ
る。

【図１９】図１９（Ａ）、（Ｂ）は、セクタ番号に基づ
く鍵選択信号の生成例を説明するための説明図である。

【図２０】ＴＤＥＳの処理に使用する鍵セットの選択制
御について説明するための図である。

【図２１】本実施形態における暗号装置の詳細な構成例
を示すブロック構成図である。

【図２２】本実施形態における暗号装置におけるＳＤＥ
Ｓの暗号処理の流れを模式的に示す説明図である。

【図２３】本実施形態における暗号装置のパイプライン
動作についての説明図である。

【図２４】本実施形態における暗号装置のＳＤＥＳの復
号処理の流れを模式的に示す説明図である。

【図２５】本実施形態における暗号装置におけるＴＤＥ
Ｓの暗号処理の流れを模式的に示す説明図である。

【図２６】本実施形態における暗号装置のＴＤＥＳの復
号処理の流れを模式的に示す説明図である。

【図２７】図２７（Ａ）は、３段構成されたＤＥＳ演算
回路のブロック図である。図２７（Ｂ）は、３段構成さ
れたＤＥＳ演算回路の暗号処理のパイプライン動作につ
いての説明図である。

【図２８】図２８（Ａ）は、３段構成されたＤＥＳ演算
回路のブロック図である。図２８（Ｂ）は、３段構成さ
れたＤＥＳ演算回路の復号処理のパイプライン動作につ
いての説明図である。

【図２９】図２９（Ａ）は、４段構成されたＤＥＳ演算
回路のブロック図である。図２９（Ｂ）は、４段構成さ
れたＤＥＳ演算回路の暗号処理のパイプライン動作につ
いての説明図である。

【図３０】図３０（Ａ）は、４段構成されたＤＥＳ演算
回路のブロック図である。図３０（Ｂ）は、４段構成さ
れたＤＥＳ演算回路の暗号処理のパイプライン動作につ
いての説明図である。

【図３１】本実施形態における暗号装置の回路動作フロ
ーの一例を示す図である。

【図３２】本実施形態におけるインタフェースＩＣの構
成の概要を示すブロック図である。

【図３３】本実施形態におけるインタフェースＩＣの構
成例を示す機能ブロック図である。

【図３４】ＡＥＳの暗号処理を行う暗号装置の構成の概
要を示すブロック図である。

【符号の説明】

１０、１００、１８０、２００暗号装置１２、８０暗号処理部１４、７４鍵生成処理部７０復号装置７２、９０復号処理部８２、９６−１〜９６−３ＤＥＳ演算部８４、９４レジスタ９２ＤＥＳ^-1演算部１１０暗号処理回路１２０鍵記憶回路１２２鍵生成部１３０鍵選択回路１３２識別情報レジスタ１３４鍵選択信号変換回路１４０、１８２データ制御回路１４２アクセス制御回路１４４データブロックカウント回路１４６鍵選択信号生成回路１５０外部記憶装置１８２データ制御回路１８４カウンタ回路２１０、２２０ＤＥＳ演算回路２３０プロローグ回路２４０入力ラッチ回路２５０エピローグ回路２６０第１の鍵出力回路２７０第２の鍵出力回路２８０、８２０鍵セット選択回路２８２ＴＤＥＳ鍵ボックス２８４ＳＤＥＳ鍵ボックス２９０制御回路３００鍵生成部２８０鍵セット選択回路８１０、８７６ＤＥＳ処理回路８１２メモリ８１４インタフェース回路８３０ハードディスク装置８５０ＩＤＥストレージ８６２ＩＥＥＥ１３９４物理層回路８６４ＩＥＥＥ１３９４リンク層回路８６６第１のＤＭＡＣ８６８ＤＴＣＰ処理回路８７０パケットメモリインタフェース８７２パケットメモリ８７４第２のＤＭＡＣ８７８キャッシュメモリインタフェース８８０キャッシュメモリ８８２第３のＤＭＡＣ８８４ＩＤＥインタフェース８８６メモリポインタ管理回路８８８システムコントローラ

Claims

【特許請求の範囲】

【請求項１】複数の共通秘密鍵を用いて共通鍵暗号化
方式により生成された複数セットの鍵を記憶する鍵記憶
回路と、所与の鍵選択信号に基づいて、前記鍵記憶回路に記憶さ
れた複数セットの鍵の中から１セットの鍵を選択する鍵
選択回路と、前記鍵選択回路によって選択された１セットの鍵を用い
て、データブロック単位で入力される入力データに対し
て所与の暗号処理を行って変換データを生成する暗号処
理回路と、を含むことを特徴とする暗号装置。
【請求項２】請求項１において、前記所与の鍵選択信号は、装置固有の識別情報に基づいて生成されることを特徴と
する暗号装置。
【請求項３】請求項１において、前記所与の鍵選択信号は、データブロックのカウント数に基づいて生成されること
を特徴とする暗号装置。
【請求項４】請求項１において、所与の記憶装置が所与のアクセス単位に前記変換データ
の書き込み又は読み出しを行う場合において、前記所与の鍵選択信号は、アクセス単位の記憶位置情報に基づいて生成されること
を特徴とする暗号装置。
【請求項５】請求項４において、前記所与の記憶装置のアクセス単位はセクタであり、前
記アクセス単位の記憶位置情報はセクタ番号であること
を特徴とする暗号装置。
【請求項６】請求項１において、前記所与の鍵選択信号は、装置固有の識別情報、データブロックのカウント数及び
所与の記憶装置が所与のアクセス単位に前記変換データ
の書き込み又は読み出しを行う場合におけるアクセス単
位の記憶位置情報の組み合わせに基づいて生成されるこ
とを特徴とする暗号装置。
【請求項７】請求項１において、前記鍵記憶回路は、前記所与の鍵選択信号がａ（ａは正の整数）ビットのと
き、２^aより小さいｂ（ｂは正の整数）セットの鍵を記
憶することを特徴とする暗号装置。
【請求項８】請求項１乃至７のいずれかにおいて、前記暗号処理回路は、前記鍵選択回路からその都度供給された鍵を用いた前記
所与の暗号処理を、ｃ（ｃは２以上の整数）回繰り返し
行って変換データを生成し、前記鍵選択回路は、前記所与の選択信号に基づいて、前記鍵記憶回路に記憶
された複数セットの鍵の中から相異なるｃセットの鍵を
選択するための内部鍵選択信号を生成する内部鍵信号生
成回路を含むと共に、前記内部鍵選択信号に基づいて前記鍵記憶回路に記憶さ
れた複数セットの鍵の中から選択したｃセットの鍵を、
１セットずつ、前記暗号処理回路に供給することを特徴
とする暗号装置。
【請求項９】請求項１乃至８のいずれかにおいて、前記所与の暗号処理が複数段の処理を含み、各段の処理
にはそれぞれ対応した鍵が適用される場合において、前記鍵選択回路は、前記所与の鍵選択信号に基づいて選択された１セットの
鍵を前記所与の暗号処理の各段の処理に適用する順序
を、所与の鍵選択値に基づいて変更することを特徴とす
る暗号装置。
【請求項１０】請求項１乃至９のいずれかにおいて、前記所与の暗号処理に代えて、所与の復号処理を行うこ
とを特徴とする暗号装置。
【請求項１１】メモリと、外部に接続された所与の記憶装置にアクセスするための
インタフェース回路と、前記メモリと前記インタフェース回路との間で転送され
るデータに対し、暗号処理又は復号処理を行う請求項１
乃至１０のいずれか記載の暗号装置と、を含むことを特徴とするデータ転送制御装置。